DCSync y la simulación de replicación de controladores

En cualquier empresa con más de un controlador de dominio, los cambios en los usuarios o las contraseñas deben mantenerse idénticos en todos los servidores. Para lograrlo, Windows utiliza el protocolo de replicación de servicios de directorio (MS-DRSR a través de RPC). Cuando un controlador secundario se conecta al primario, le dice: «Soy un controlador autorizado, entrégame las modificaciones recientes de los objetos». El servidor central empaqueta los atributos solicitados —incluidos los hashes de contraseñas— y los transmite por la red.

El ataque DCSync aprovecha exactamente esa función legítima. Si un atacante compromete una cuenta que posee dos permisos extendidos específicos en la raíz del dominio —'Replicating Directory Changes' y 'Replicating Directory Changes All'—, su software puede abrir una sesión RPC con el controlador de dominio y solicitar la replicación de cualquier cuenta como si fuera un controlador genuino. No hace falta explotar ninguna vulnerabilidad: el controlador obedece porque los permisos de la cuenta le dicen que tiene autorización para replicar.

Tradicionalmente, para robar las credenciales del dominio era necesario acceder físicamente o por terminal al controlador, volcar el proceso LSASS o copiar el archivo 'ntds.dit' junto con la clave SYSTEM del registro. DCSync cambió las reglas: el atacante ejecuta la orden desde una estación cliente ordinaria de la red; el tráfico viaja como consultas RPC comunes y las contraseñas llegan en memoria directamente al equipo del atacante. El controlador nunca ve un ejecutable extraño corriendo en su sistema ni un archivo copiado en su disco.

La defensa contra DCSync tiene dos frentes. En la prevención: auditar que ninguna cuenta que no pertenezca a 'Domain Controllers' posea los derechos de replicación extendida sobre el dominio. En la detección: monitorizar el registro de seguridad de los controladores de dominio buscando el Evento 4662 (acceso a objetos con derechos extendidos de replicación) cuando la dirección IP de origen provenga de una estación de trabajo o de una subred de clientes en lugar de la subred exclusiva de servidores de dominio.